Googleはハッカー集団の名称システムを刷新し、『Castillo』や『Reliquia』のようなコードによる、より分かりやすい方式を採用する。では、これはサイバーセキュリティにとって何を意味するのだろうか？
GoogleはAPTのような名称をやめ、国ごとのコード体系を採用する。
Shane Huntleyは、業界で明確さが必要な理由を説明する。
同社は世界中で5,000件以上の活動クラスターを追跡している。
名称システムの更新
サイバーセキュリティ業界は、世界中で活動するハッカー集団に名前を付ける取り組みを、10年以上続けてきた。そのコードの一部、たとえば『Fancy Bear』は、技術分野にとどまらず、目立つハックと覚えやすい名称によって主流の報道にも広がっている。
ほかの名称は業界の中でしか知られておらず、しかも多くの場合、当事者である専門家ですら追いつけません。これは、各企業がハッカー・グループをそれぞれ別の方法で命名しているからです。
そのため、サイバーセキュリティの専門家、政府当局、記者、そして一般の人々が「誰が誰か」を理解できるように、ワンストップ窓口のような役割を目指すリソースも存在します。しかし、名称の増殖は、明確さよりもむしろ混乱を生み出しています。
先月、Googleはハッカー・グループの命名システムを更新した最後の企業になりました。同社は、Mandiant（現在はGoogleの一部となっているセキュリティ会社）が採用していたAPT1、APT41、あるいはAPT番号といったコードを捨てました。
Mandiantは最初に命名スキームを採用しましたが、その仕組みはもう実用的ではありません。脅威の進化により、旧来の方法では、行為主体を区別するのに不十分になりました。
Googleは、より明確で記憶に残るモデルを採用することを決めました。刷新は、同社の社内ハッカー狩りチームが主導しました。
明確さの必要性
Google Threat Intelligence Groupの技術責任者であるShane Huntleyによれば、更新は、社内外のセキュリティ研究者に明確さをもたらすために必要でした。ハントリーは、グループ数の増加により、旧来の仕組みを維持することが不可能になったと説明しました。
2010年代初期、企業がサイバー攻撃に関するレポートを公表し、責任のあるハッカーを命名し始めた頃、これほどの増殖が起きるとは誰も予想していませんでした。ハントリーはTechCrunchに対し「今日のように脅威グループがこれほど多いとは思っていませんでした」と語りました。
すべての行為主体を追跡するのが難しいことが、運用上の課題になりました。各グループは、アナリストが曖昧さなく情報を共有できるように、正確な識別が必要だったのです。
名称の混乱は、攻撃の帰属や調査に誤りを生みました。そのため、Googleにとって標準化が優先事項になったのです。
ハントリーは、新しいシステムはシンプルで、技術分野に詳しくない人にも理解できるよう設計されていると強調しました。目的は、レポートの読者がそのグループの出自と性質を理解できるようにすることです。
業界の混乱は、単なる内部の問題ではありませんでした。メディアや政府は、脅威を伝えるためにこれらの名称に依存しています。明確な名前は、集団的な対応を促しやすくします。
新しいスキーム：国ごとのコード
Googleの仕組みは比較的単純です。ハッカー・グループには、覚えやすくランダムな最初の名前が付き、その後に、出身国を示す頭文字を持つ2つ目の単語が続きます。つまり「Castillo」は中国、「Ion」はイラン、「Neptuno」は北朝鮮、「Relic」はロシアに対応します。
これらの接尾辞は任意ではありません。最初の文字が、それぞれの国の英語名と一致します。たとえば「Castle」は中国、「Ion」はイラン、「Neptune」は北朝鮮、「Relic」はロシアです。
狙いは、最初の名前が覚えやすく区別しやすいこと。一方で2つ目の単語が、すぐに地理的な文脈を与えることです。こうすれば、アナリストは長い英数字列を丸暗記する必要なく、脅威がどこから来たのかを把握できます。
John Hultによれば、Googleは現在、複数の国で5,000以上の「活動クラスター」を追跡しています。この数字は、識別という課題の大きさを示しています。
APTの仕組みから新しいモデルへの移行は、すぐには行われません。Googleは、新しい命名法に適応するために、レポートや社内ツールを更新していきます。
最初のグループはすでに改名されており、同社は外部研究者が新しいコードを使い方学べるようガイドを公開します。